“3保1评1认证”：网络安全合规体系的协同之道-华盟网

网络安全已成为关乎国家安全、经济发展和社会稳定的战略基石。我国通过多年探索实践，逐步形成了以“3保1评1认证”为核心的网络安全合规体系架构。这套看似复杂的框架如何运作？各项制度之间如何协同？今天，我们将深入解析等保、分保、关保、密评及商密认证的联系与区别，为企业和组织提供清晰的合规路线图。

一、网络安全合规体系的五大支柱

作为我国网络安全的基本制度，等保依据《网络安全法》第二十一条确立，要求网络运营者按级别履行安全保护义务。该制度将信息系统分为五级，根据系统遭受破坏后对国家安全、社会秩序、公共利益以及公民法人合法权益的危害程度确定保护等级：

等保2.0时代的工作流程包括定级、备案、建设整改、等级测评和监督检查五个环节，覆盖了网络与信息系统的全生命周期安全管理。

分保是国家在涉密领域的专门保护机制，依据《保守国家秘密法》和《涉及国家秘密的信息系统分级保护管理办法》实施，由国家保密局监管。与等保不同，分保专门针对处理国家秘密的信息系统，根据涉密程度分为三个级别：

保密级别越高，监管要求越严格：秘密级和机密级系统需每两年至少进行一次安全保密测评，绝密级系统则需每年一次。分保工作流程包括系统定级、方案设计、工程实施、系统测评、系统审批、日常管理、测评与检查以及系统废止等环节。

关保是在网络安全等级保护基础上对重点目标的强化保护。根据《网络安全法》第三十一条和《关键信息基础设施安全保护条例》，关保覆盖公共通信、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域。

关保的核心是“重点保护”，其工作流程包括识别认定、安全防护、检测评估、监测预警、事件处置五个环节。安全防护能力分三个等级评估，从能力等级1到能力等级3，逐级增高，高级别能力要求包含所有低级别要求。

密评依据《密码法》设立，主要评估商用密码应用的合规性、正确性和有效性。其评估对象主要包括三类：

评估周期为每年至少一次，工作流程包括确定评估对象、开展测评工作、输出密码测评报告和密评结果上报四个阶段。《密码法》第三十七条规定，对未按要求开展密评的关键信息基础设施运营者，密码管理部门可责令改正、给予警告，拒不改正或导致严重后果的，将处十万元以上一百万元以下罚款。

商密认证是指依据国家标准和行业标准，由国家密码管理局认可的检测机构对商用密码产品进行检测认证的制度。通过认证的产品才能在我国市场销售和使用，确保其安全性和合规性。

例如某信安天机存储系统就是一款通过商密认证的产品，该系统基于国产安全操作系统开发，采用SM2、SM3、SM4等国产密码算法，支持飞腾国产CPU和X86计算平台，提供文件加密、磁盘加密、容灾备份等多种功能。

等保作为网络安全的基本制度，是其他保护措施的基础。分保可视为等保在涉密领域的具体实施，关保则是在等保基础上对关键目标的重点强化。密评作为专项评估，为等保和关保提供密码应用层面的安全保障。

《网络安全法》第二十一条确立的等级保护制度实际上包含了公安、保密、密码三个管理部门监管的方向，等保、分保、密评共同组成了完整的“网络安全等级保护制度”。

在评估内容上，关基安全检测评估包含了等级测评和密评的所有内容，而密评的部分评估内容直接来自等级保护基本要求中关于密码的相关要求项。

技术实施上，密码技术是保障等保三级以上系统和关键信息基础设施安全的核心手段。等保基本要求明确规定了各级系统在哪些环节必须使用密码，而密评则验证这些密码应用的合规性和有效性。